Transcription

• Speaker #0

  L'attaque dans son point de départ arrive souvent pour des raisons humaines. La mise en place d'une attaque sur le réseau administratif pouvait malheureusement bloquer la production de soins.

• Speaker #1

  Alors que la cybersécurité dans le secteur de la santé fait régulièrement la une des médias, nous nous sommes rendus à Paris Santé Campus, un lieu dédié à l'innovation et à l'excellence française à la matière. Nous y avons rencontré son directeur général, Antoine Tenière, pour comprendre comment protéger les systèmes d'information, renforcer les synergies et élever le niveau de résilience cyber. Un échange passionnant qui nous permet d'appréhender tous les défis à relever en matière de santé. Vous écoutez Safe & Sound, le nouveau podcast dédié à la cybersécurité de Cibia, un programme coordonné par le Campus Cyber, cofinancé par la région Île-de-France et l'Union européenne. Il offre un accompagnement en sécurité numérique entièrement pris en charge pour les entreprises les acteurs de l'économie sociale et solidaire, ainsi que les collectivités franciliennes. Pour renforcer la sécurité de vos systèmes et bénéficier de cet accompagnement personnalisé, rendez-vous sur sybia.eu. Ce podcast est produit en partenariat avec le catalyseur de l'innovation et de l'entrepreneuriat de Paris-Ouest La Défense. Cet épisode est réalisé par l'agence Jeff. Bonjour Antoine Ténière. Nous sommes ravis de venir à votre rencontre à Paris Santé Campus pour évoquer les questions de cybersécurité et de santé qui sont au cœur de l'actualité en ce moment. Pour commencer cette interview, pouvez-vous vous présenter s'il vous plaît ?

• Speaker #0

  Bonjour, je m'appelle Antoine Tenière, je suis professeur d'anesthésie-réanimation, médecin, enseignant, chercheur, et je dirige aujourd'hui Paris Santé Campus après l'avoir fondé il y a maintenant deux ans et demi.

• Speaker #1

  Paris Santé Campus... Quelle en était l'ambition ? Quel est le projet et quelles sont vos missions au quotidien ?

• Speaker #0

  L'ambition qui a été portée par le président de la République qui a mis en place le projet, c'est de créer un écosystème d'innovation d'un nouveau genre qui rassemble des acteurs privés et des acteurs publics pour accélérer l'innovation dans un domaine stratégique pour notre pays et notamment pour le système de santé qui est sa transformation numérique. L'objectif, c'est d'arriver à rassembler sur un même site des expertises. et à les faire travailler ensemble pour faciliter des synergies et accélérer l'innovation.

• Speaker #1

  Et combien d'acteurs aujourd'hui sont présents justement sur ce campus ?

• Speaker #0

  Alors aujourd'hui, il y a 1500 personnes qui travaillent dans 20 000 m² et qui sont réparties dans environ 130 organisations différentes. 80 startups, 5 instituts de recherche, nos 5 fondateurs évidemment, INSER, MINERIA, l'université Paris Sciences et Lettres, le ELSATUB et l'agence du numérique en santé. et tout un ensemble d'entreprises, d'associations professionnelles, d'institutions et de fondations qui au quotidien travaillent ensemble pour imaginer les solutions innovantes et numériques pour la santé de demain.

• Speaker #1

  Merci beaucoup pour cette vue d'ensemble sur Paris Santé Campus. Vous avez récemment tiré la sonnette d'alarme dans les colonnes du Figaro pour parler de la crise qui fait face au domaine de la santé, mais vous avez apporté aussi une vague d'espoir si je puis dire. en laissant entrevoir une nouvelle ère pour le domaine de la santé. Est-ce que vous pouvez revenir sur cette prise de position ?

• Speaker #0

  Bien sûr. Dans les grandes transformations, il y a toujours des choses qui disparaissent et puis d'autres qui se créent. L'enjeu, notamment avec le numérique, c'est de comprendre comment est-ce que cette innovation qui est une constante dans la santé va permettre d'arriver à résoudre un certain nombre d'enjeux qu'on voit aujourd'hui au quotidien sur l'ensemble du territoire. que ce soit pour l'accès aux soins, la qualité des prises en charge, éventuellement des questions de financement. Ce qui est particulièrement intéressant avec le numérique, c'est que cet outil, notamment basé sur l'utilisation des données, amène une dimension complètement nouvelle dans le domaine de la santé, après avoir évidemment transformé beaucoup d'autres domaines, que ce soit les transports, la musique, la communication, etc. La particularité dans la santé, c'est que ça se fait avec... Des spécificités, notamment on reviendra dessus sur la question du secret médical par exemple, du partage des données, mais aussi le fait que l'État en France régule ce domaine et donc a besoin d'accompagner cette transformation. Et la deuxième particularité qui est tout à fait liée à notre époque, c'est que cette transformation, notamment numérique, se fait avec une accélération extrêmement forte de l'innovation. On le voit notamment avec l'arrivée de l'intelligence artificielle. et donc nécessite d'arriver à mieux travailler, à mieux coordonner les acteurs qui vont à la fois connaître la santé, porter ces innovations et créer les outils numériques pour faire en sorte justement qu'on puisse soutenir cette vitesse d'innovation qui s'accélère.

• Speaker #1

  Vous parlez donc beaucoup d'innovation, de numérique. Quel est le degré de maturité des acteurs de la santé sur un plan assez macro ?

• Speaker #0

  Alors, il est hétérogène, mais globalement, moi, je le trouve plutôt bon. Ce qui est intéressant, c'est qu'on a en France une expertise médicale qui est reconnue et qui est très bonne. On a une expertise de recherche également qui est importante. Et puis, à côté de ça, mais dans des domaines différents, on a également une expertise numérique et mathématique, notamment, qui sont excellentes. L'enjeu, c'est d'arriver à bien coordonner ces expertises, d'où l'intérêt de créer des écosystèmes d'innovation. et de faire en sorte que les personnes qui connaissent les problématiques de la santé rencontrent celles qui connaissent les enjeux ou les atouts du numérique, qui puissent travailler ensemble et développer des approches de recherche, d'innovation, d'entrepreneuriat pour continuer à faire vraiment fructifier cette excellence française. Et ce qu'on voit aujourd'hui, c'est que la France a une très grande capacité d'innovation Et que le passage à l'échelle ensuite dans le développement des projets parfois peut être plus compliqué. Pour ça, il y a plusieurs réponses. La première, c'est d'arriver à, encore une fois, coordonner les acteurs. La deuxième réponse, c'est de travailler à l'échelle européenne, qui est absolument sociale pour avoir une dimension suffisante. Et puis, évidemment, de s'ouvrir vers l'international, qui est l'étape d'après quand on veut développer des projets d'envergure.

• Speaker #1

  Question subsidiaire, mais n'y a-t-il pas des questions de financement aussi derrière cette... Passage à l'échelle supérieure sur lequel vous, vous avez des missions à jouer comme les investisseurs privés ?

• Speaker #0

  Alors il y a évidemment des questions de financement mais ce qui est intéressant et notamment on a beaucoup d'exemples ici, ce n'est pas l'alpha et l'oméga du développement des projets entrepreneuriaux. C'est un élément important quand il va s'agir de passer à l'échelle, de scaler. Mais on a aussi notamment avec des programmes issus de la recherche, des barrières à l'entrée technologique qui font que pour certains déploiements, on n'a pas forcément besoin de levées de fonds très importantes parce que Les entreprises qui déploient ces outils technologiques, c'est de la deep tech, c'est des approches numériques très complexes, etc., peuvent être les premiers entrants et les seuls sur le marché et se développer rapidement parce qu'elles arrivent justement à avoir une valeur ajoutée différenciante qui nécessite évidemment un peu d'accompagnement au développement, mais qui ne nécessite pas forcément des millions pour être un énorme acteur international.

• Speaker #1

  Merci beaucoup pour cet éclairage. Le déploiement des nouvelles solutions qui sont déployées en France, vous avez parlé de Deep Tech, d'IA, est-ce que vous pensez que ces technologies ont un rôle prépondérant à jouer en matière de cybersécurité ?

• Speaker #0

  Alors oui, et je regarde les choses dans les deux sens, c'est-à-dire qu'à partir du moment où on développe des outils innovants, de l'intelligence artificielle, des approches basées sur la donnée, on est forcé dès le départ de s'intéresser, et même plus que ça, au sujet de cybersécurité. De la même façon, ce sont des outils qui vont nous amener aussi des nouvelles solutions pour sécuriser nos systèmes. C'est vraiment dans les deux approches qu'il faut arriver à regarder ça. Évidemment, ce ne sont pas toujours les mêmes personnes qui vont regarder dans les deux sens. Mais dès qu'on construit des systèmes de gestion de données, on le voit notamment avec la mise en place des entrepôts de données de santé dans les hôpitaux, il faut imaginer dès le départ toutes les couches de sécurité qui vont nous permettre de garantir Les grands choix essentiels de la santé, c'est-à-dire notamment la garantie du secret médical, d'un côté, et puis de l'autre côté, à partir du moment où on a des algorithmes d'IA, on voit très bien comment ça peut nous permettre de scanner sur des réseaux des attaques potentielles et de détecter plus précocement qu'avec des systèmes humains, justement, ce type d'intrusion.

• Speaker #1

  Nous nous sommes, pour le contexte, pour nos auditeurs, rencontrés à CyberEco, qui est une journée organisée au sein du campus cyber pour sensibiliser les différents acteurs aux questions de cybersécurité. On s'est rencontrés suite à votre prise de parole. Pourquoi c'était important pour vous d'y participer et pourquoi surtout les acteurs de la santé sont aussi exposés aux cyberattaques ?

• Speaker #0

  Alors il y a plusieurs raisons. La première, c'est qu'on a évidemment des liens de très grande proximité avec le campus cyber qui finalement nous ressemble beaucoup dans le concept, c'est-à-dire créer un écosystème d'innovation pour nous dans la santé et pour le campus cyber dans les enjeux de cybersécurité qui rassemble les meilleures forces françaises en la matière. des grandes entreprises, des acteurs publics, des acteurs régaliens si je puis dire, et puis des gens qui vont travailler sur justement tester des systèmes. Et la réalité aujourd'hui c'est que dans l'activité du campus cyber, la santé est un des domaines les plus importants, les plus stratégiques et les plus visés. Tout simplement parce qu'en fait aujourd'hui les attaques ou les hackers vont s'intéresser aux données personnelles, c'est celles qui sont le plus valorisées. dans les espaces d'échange sur le Dark Web, simplement parce qu'elles permettent de recréer des identités, que ce soit des identités qui permettent d'accéder à des éléments financiers ou à des éléments de droits d'accès à des soins, etc. Et donc, quand on prend le coût de revente, entre guillemets, de ces données volées sur le Dark Web, les données de santé sont parmi les plus valorisées. Et donc c'est simplement pour ça qu'aujourd'hui, tous les systèmes qui traitent de données personnelles liées à la santé sont les systèmes les plus attaqués.

• Speaker #1

  Comment on fait justement pour protéger ces données de santé ? Est-ce qu'il y a des bonnes pratiques, des processus sur lesquels travaille Paris Santé Campus ?

• Speaker #0

  Alors il y a évidemment des bonnes pratiques, il y a évidemment des moyens de sécuriser ces données-là. Ça concerne les acteurs qui sont au sein de Paris Santé Campus, mais plus largement toute la communauté des acteurs de la santé. Et il y a, en tout cas dans ma conviction, la nécessité d'intégrer, dès la conception des systèmes numériques, cette couche, cette question de cybersécurité vraiment au cœur du développement. Ce qu'on voit, c'est qu'il y a eu malheureusement quelques attaques complexes, emblématiques, qui ont pour certains paralysé des hôpitaux, pour d'autres entraîné des vols de données, et pour d'autres encore, notamment en Allemagne, entraîné des décès. Et le premier décès lié à une cyberattaque, malheureusement, a eu lieu dans un hôpital en Allemagne il y a un petit peu plus d'un an. Donc on voit que ces attaques, elles sont sérieuses et donc il faut évidemment non seulement réagir quand elles sont présentes, mais surtout pouvoir les anticiper. Pour ça, ça veut dire concevoir des systèmes de gestion, de traitement et de stockage des données qui intègrent le meilleur de ce qui se fait en termes de sécurité, en sachant que les choses évoluent très vite et que A chaque fois qu'il y a des nouvelles attaques, il y a des nouveaux modes de pénétration dans des systèmes et donc on adapte justement les protections sur ces systèmes de sécurité. Ce qu'on voit à partir de l'analyse des attaques qui ont déjà eu lieu dans certains hôpitaux, dans certains systèmes de santé, c'est que les systèmes informatiques actuels parfois sont la juxtaposition de différents systèmes de traitement de données, de production de soins, de réseaux administratifs. ... qui se sont mis en place au fur et à mesure du temps et qui n'intègrent pas forcément tous des couches de cybersécurité coordonnées. Ça, c'est le premier point. Et le deuxième point, c'est qu'ils ne sont pas étanches les uns entre les autres. Et donc, ce qu'on a appris des attaques récentes, c'est la nécessité justement d'avoir une vision globale de l'ensemble des systèmes pour assurer leur sécurité. Ça, c'est le premier point. Et le deuxième point, c'est la nécessité de pouvoir étanchéifier rapidement. les systèmes à partir du moment où on a détecté une attaque, un petit peu comme dans un sous-marin où il y aurait une voie d'eau et où pour ne pas inonder l'avant si la voie d'eau est à l'arrière, on est en capacité justement de fermer des tranches pour limiter l'impact des attaques.

• Speaker #1

  Donc si je comprends bien, les vulnérabilités viennent de l'interconnexion entre les systèmes d'information qui se sont agrégés au fur et à mesure.

• Speaker #0

  Alors les vulnérabilités malheureusement elles sont assez nombreuses mais en tout cas celles qu'on a repérées là c'est effectivement Des systèmes d'architecture un peu différentes qui se sont juxtaposés, ça c'est un des premiers points. Et puis d'autre part, de la perméabilité entre des réseaux administratifs et des réseaux de production de soins par exemple. Et ce qu'on a vu dans certaines attaques, c'est que la mise en place d'une attaque sur le réseau administratif pouvait malheureusement bloquer la production de soins et déstabiliser des sites hospitaliers pendant plusieurs semaines parfois.

• Speaker #1

  Effectivement, et j'en profite pour faire un... Petit rappel sur des épisodes précédents, on a rencontré plusieurs spécialistes cyber, dont M. Notin, dont Serge Mizik, qui nous ont rappelé que les vulnérabilités venaient souvent de ces points-là. Donc je pense que c'est important de le rappeler. Et pensez-vous qu'il y a un degré de préparation cyber différent en fonction des acteurs ? Est-ce que, je ne sais pas, les hôpitaux sont moins préparés que les laboratoires pharmaceutiques ? Il y a un travail différencié à faire en fonction de la nature de l'acteur de santé ?

• Speaker #0

  Alors ce qui est certain c'est qu'il y a un travail de sensibilisation de l'ensemble des acteurs à faire. À partir du moment où on s'engage dans une transition numérique, dans une transformation des systèmes, il faut dès le départ, au-delà de la question des usages, sensibiliser sur la question de la sécurité. On voit que les enjeux sont différents entre un site CHU, hôpital public par exemple, et puis effectivement une grande entreprise. La réalité malheureusement pour tous ces acteurs-là, quels qu'ils soient, c'est que la question n'est pas de savoir s'ils vont être attaqués, c'est de savoir quand est-ce qu'ils vont être attaqués. Ce qui veut dire qu'à partir du moment où vous procédez à un système informatique dans la santé, il faut envisager la possibilité qu'à un moment ils soient attaqués. Et donc ça veut dire se préparer, faire des audits sécurité une fois que les systèmes seront conçus, et puis faire des simulations et faire des exercices réguliers. On le voit d'ailleurs à partir du moment où certains hôpitaux ont malheureusement été attaqués en France. D'autres, que ce soit à l'échelle individuelle ou d'autres groupes hospitaliers, ce sont, comme on simule des attaques terroristes avec des victimes, se sont organisés pour simuler des attaques informatiques et voir quel était l'impact sur leurs organisations et en combien de temps ils étaient capables de passer sur des systèmes sécurisés. et puis isoler justement les sites d'attaques numériques.

• Speaker #1

  Oui, ce qui compte en fait, c'est de confiner l'attaque sur des réseaux administratifs par exemple, pour que les soins puissent continuer, que le plan de continuité d'activité puisse être déployé.

• Speaker #0

  Exactement, et puis ce qu'on voit aussi, on parlait tout à l'heure des cibles des attaques, c'est que ce sont des données patients ou des données personnelles. Ça veut dire être en capacité d'avoir des copies également des systèmes pour pouvoir les faire repartir. et conserver la maîtrise sur les données si les systèmes sont attaqués. Pour les acteurs privés, notamment les grands industriels, les enjeux sont un petit peu différents. Il peut y avoir des enjeux de propriété industrielle, il peut y avoir des enjeux de rançon, etc. Donc même si ce qui est attaqué in fine est un peu différent, la logique est la même, c'est de sensibiliser tous les acteurs et puis de comprendre aussi une réalité. On a parlé tout à l'heure de la question de l'architecture des systèmes d'information, de l'étanchéité des réseaux. La réalité aussi, c'est que l'attaque dans son point de départ arrive souvent pour des raisons humaines. Et donc là aussi, il y a un énorme enjeu de sensibilisation, de formation et de suivi pour faire en sorte qu'on soit capable de limiter justement l'inoculation de virus ou de logiciels malveillants.

• Speaker #1

  Parce que sur les acteurs publics de la santé, notamment les CHU, quelles sont les motivations ? Elles sont purement pécuniaires, c'est-à-dire on cherche à collecter de la data pour ensuite pouvoir la revendre sur le... Dark Web, où on constate qu'il y a d'autres motivations qui peuvent être de l'espionnage, qui peuvent être des actes de déstabilisation. Quelles sont, vous, vos perceptions par rapport aux attaques ?

• Speaker #0

  Alors, ça va dépendre de l'origine de l'attaque. Ce qu'on voit aujourd'hui, c'est qu'il peut y avoir des motivations financières, soit de la revente de données, soit des rançons. Et puis, il peut y avoir aussi des motivations qui sont plutôt géostratégiques. pour déstabiliser des sites, etc. Donc là, la France dispose d'un suivi et d'une analyse très fine, justement, des origines des attaques et puis des objectifs qui sont visés. Donc on a beaucoup de données pour comprendre justement les enjeux respectifs entre les questions financières, les questions de déstabilisation, etc.

• Speaker #1

  Question en aparté, comment interagissez-vous avec l'ANSI ? Il y a des liens entre le... entre Paris Santé Campus et l'ANSI ?

• Speaker #0

  Oui, alors on a des liens entre Paris Santé Campus et puis les institutions publiques qui gèrent la sécurité des systèmes informatiques. Et puis le lien le plus évident pour nous, c'est l'Agence du numérique en santé, qui est un de nos membres fondateurs et qui accompagne justement tous les acteurs du système de santé à se mettre à niveau et à s'engager dans tous les aspects importants de la transformation numérique, c'est-à-dire... Évidemment, les enjeux de cybersécurité qui nous rassemblent aujourd'hui, mais aussi les enjeux d'interopérabilité, de logiciels innovants, de passage sur des cartes vitales numérisées, de cartes de professionnels sécurisés, etc.

• Speaker #1

  Le développement logiciel justement de ce genre de choses comme la carte vitale numérique, etc. sont des choses qui coûtent beaucoup d'argent. Comment est organisé en fait le financement final de ces initiatives de sécurité ? Est-ce que... On a les moyens de nos ambitions.

• Speaker #0

  Alors là c'est l'État qui accompagne le développement de ces approches, notamment à travers son acteur dans la santé privilégiée, qui est la Caisse Nationale d'Assurance Maladie. Donc ce sont des systèmes qui sont évidemment nationaux, qui sont complexes, mais tout est fait pour les sécuriser. Et aujourd'hui on voit notamment avec le déploiement de MonEspaceSanté, pour lequel plus de 11 millions de citoyens se sont répertoriés et plus de 200 millions de documents sont versés jusqu'à maintenant. Maintenant, on voit tous les enjeux d'arriver à sécuriser ces systèmes-là et faire en sorte que l'État puisse garantir justement que le carnet de santé de chaque Français, qui est maintenant numérique, puisse être parfaitement gardé et sécurisé. Ce qui est certain, encore une fois, c'est qu'à partir du moment où on veut se lancer dans ces approches numériques et dans la transformation de ces systèmes, il faut intégrer, je le disais, dès le départ, cette notion de cybersécurité. Ça veut dire l'intégrer également dans les coûts de développement. On accompagne les startups sur ces approches-là pour qu'elles intègrent notamment dans leur plan de financement. À partir du moment où il y a l'utilisation de bases de données, de systèmes informatiques, les coûts à la fois de sécurisation et de suivi, d'audit, etc. sont vraiment des coûts essentiels et qui ne sont pas superflus. parce que le coût d'une attaque in fine, que ce soit pour un acteur public ou une entreprise, sera... toujours bien supérieure au coût d'accompagnement sur la mise en place de sécurisation cyber.

• Speaker #1

  Et la sécurisation cyber passe bien sûr par le logiciel, elle passe aussi, et avant tout, j'ai envie de dire, par l'humain, par les bonnes pratiques humaines. Quelle est la perception des différents acteurs de la santé, des salariés de cet univers, par rapport à la cybersécurité ? Et deuxième question ? Comment on les fait monter en compétence, comment on les sensibilise et on les fait monter en compétence pour faire en sorte que l'humain aussi soit étanche aux cyberattaques ?

• Speaker #0

  La perception est variée encore, je trouve, mais ça dépasse le cadre professionnel de la santé. C'est-à-dire qu'on voit aussi la façon dont certains se comportent avec les réseaux sociaux, avec des applications, avec le partage de données, etc. Il y a une relative déconnexion, sans mauvais jeu de mots, entre justement cette vision de la sécurité sur les outils numériques et puis la vision princeps des enjeux de sécurité. Pour arriver à faire comprendre à tout le monde ces questions-là, et notamment pour la santé, le sujet est simple, c'est-à-dire le point central de cette question, c'est la question du secret médical. Et donc il ne viendrait à aucun professionnel de santé l'idée de... laisser un dossier ouvert à l'accueil d'un hôpital ou de diffuser des informations sur un de ses patients, c'est exactement la même logique dans un système informatique. Quand on laisse une session ouverte où on a prescrit des médicaments pour un patient, on met en risque le secret médical. Quand on utilise des outils de stockage qui ne sont pas sécurisés ou qu'on répond à des mails qui sont... douteux, on met en risque justement ces outils de stockage et la problématique c'est qu'on ne le fait pas pour un seul dossier patient mais on le fait pour tout un système de stockage qui peut parfois contenir des dizaines de millions de patients. Donc sensibiliser l'ensemble des professionnels sur ces éléments absolument centraux, c'est essentiel. Les former effectivement et puis c'est pas uniquement une fois parce qu'on voit très bien la sophistication des attaques qui peut y avoir et qui effectivement font souvent des choses appel à de la confusion ou à des biais cognitifs humains, que ce soit pour simuler des personnes qui pourraient vous contacter, pour demander des fausses informations ou simplement sur un élément qui peut entraîner de la curiosité et sur lequel on va cliquer et qui va installer justement un logiciel malveillant sur votre système. Et puis en parallèle, au-delà de ces portes d'entrée, c'est aussi être en capacité de surveiller en temps réel à l'échelle des réseaux ... les menaces qui peuvent être présentes et puis les détecter très rapidement pour éviter qu'elles ne diffusent. On a quelques exemples, malheureusement, dans les premières attaques des hôpitaux qui montrent que parfois, les logiciels malveillants étaient présents depuis plusieurs mois avant que, justement, on les détecte sur le réseau et qu'elles ont pu aller chercher des données pendant trop longtemps.

• Speaker #1

  Oui, comme dans les grandes entreprises où ils essayent d'aller le plus profond possible parce que forcément le... Le butin n'en est que plus gros. Et justement, ces cyberattaques, est-ce qu'elles ont créé au final une prise de conscience ? Parce que quand la menace devient palpable... C'est au final là où on a l'instinct de se protéger.

• Speaker #0

  Oui, alors la mauvaise nouvelle, c'est effectivement qu'il y a eu des attaques, mais la bonne nouvelle, c'est qu'il y a eu une réaction très forte de la part des acteurs de la santé et des acteurs de la cybersécurité pour se dire, attention, on met en danger nos systèmes si on ne réagit pas. Et donc, il y a eu beaucoup d'analyses des situations qui ont été rencontrées, à la fois sur l'aspect de la menace, l'impact sur le système informatique, mais aussi dans les adaptations d'organisations et puis les conséquences sur l'activité de soins. Et donc, on voit aujourd'hui le partage d'informations à partir de ces attaques, qui est un élément essentiel pour arriver à sensibiliser les différents acteurs, à former les différentes organisations et puis à continuer à s'adapter en permanence. parce qu'on le disait tout à l'heure, les typologies d'attaques vont changer. Les demandes des cybermalveillants vont changer et on doit être en capacité de partager en permanence ces éléments-là.

• Speaker #1

  Oui, on court après les cyberattaquants et leurs innovations en permanence. C'est une des missions justement du Campus Cyber que de surveiller ceci en coopération avec l'ANSI. Est-ce que vous, au sein de Paris Santé Campus, vous hébergez des startups qui sont spécifiquement dédiées à la cybersécurité en santé ou est-ce que vous intervenez auprès de... de ce type de startup au Campus Cyber ?

• Speaker #0

  Alors, on fait les deux. C'est-à-dire qu'on a quelques startups qui sont spécialisées dans la cybersécurité. Et puis, on travaille évidemment avec le Campus Cyber et ses équipes qui sont là dans leur cœur d'expertise pour sensibiliser justement les entreprises qui sont à Paris Santé Campus et dont l'expertise est dans la santé et pas forcément dans la cybersécurité. Donc, il y a des initiatives comme le programme Cibia, par exemple, qui vient d'être lancé et qui est exemplaire. pour permettre à des PME de se mettre à niveau sur les sujets de cybersécurité. La problématique, encore une fois, c'est que pour une entreprise, souvent il y a des objectifs principaux qui sont de développer un produit, de le mettre sur le marché et puis d'aller chercher des premiers clients. La question de la cybersécurité, malheureusement, elle n'est pas forcément vue comme une question centrale au début. Donc il faut qu'on arrive à montrer pourquoi c'est important. Pourquoi c'est facile à prendre en charge et pourquoi finalement cet effort doit être fait dès le départ pour éviter ensuite de se retrouver avec des obstacles sur la route du développement ?

• Speaker #1

  C'est tout à fait le message de Yann Bonnet, qui est le directeur général délégué du campus cyber, qui parle lui d'hygiène numérique. Ça tombe bien quand on parle de santé, parce que c'est quelque chose qu'il faut prendre en compte au quotidien. Ce sont des petites actions du quotidien qui nous préparent au final à la cyberattaque qui adviendra quoi qu'il arrive. Est-ce que vous avez des exemples de succès justement ou de belles évolutions en matière de cybersécurité et de santé dans les startups que vous accompagnez ?

• Speaker #0

  Les exemples qu'on voit, que ce soit dans les startups ou dans les groupements hospitaliers, c'est la capacité justement à éviter les attaques. Donc c'est peut-être moins visible malheureusement que les attaques, mais c'est quand même des victoires au quotidien. Et donc on sait par exemple à l'échelle des hôpitaux de la PHP ou d'autres CHU qui sont ciblés que quotidiennement... les équipes vont pouvoir détecter justement un certain nombre de menaces et puis les bloquer. Ce qu'on voit également, c'est qu'il y a des impacts liés à un certain nombre d'événements, que ce soit des événements géopolitiques, par exemple les conflits armés ou des événements comme les Jeux Olympiques. Et donc le fait d'être préparé comme ça, on est aussi dans la logique, vous parliez d'hygiène numérique tout à l'heure, on est aussi dans la logique de prévention. qui est cher aux acteurs de la santé et de se dire comment est-ce qu'on peut mieux accompagner l'ensemble des acteurs pour essayer au maximum de prévenir ces difficultés. Vous l'avez dit, les acteurs de la santé stoppent de mieux en mieux les tentatives de compromission des systèmes d'information. Est-ce que ça s'est accompagné aussi d'une meilleure résilience en cas d'attaque ? Est-ce qu'on voit une progression sur la capacité à traiter l'attaque et en en échapper le plus vite possible et dans les meilleures conditions ?

• Speaker #1

  Quand on veut regarder ça, une des analogies qu'on peut faire, c'est le modèle de Rison. Le modèle de Rison, c'est le modèle de gestion des risques et c'est le fameux gruyère suisse. Pour qu'on arrive à un accident qui peut être là une attaque, il y a un certain nombre d'étapes et de barrières à franchir. Ce qu'on voit, c'est que dans certaines conditions, malheureusement, toutes ces barrières sont franchies. Et puis dans d'autres, c'est la première ou la troisième ou la cinquième qui va... permettre de contenir l'attaque. Donc moi je regarde les choses avec justement tous ces niveaux, entre l'entrée d'une menace, et puis la mise en place d'une infiltration des réseaux, le blocage des systèmes, la crise qui a des conséquences directes, la paralysie, etc. Et donc ce qu'on voit, c'est qu'il faut être en capacité de réagir et de répondre à chaque étape. Pour certaines attaques, on va être capable de bloquer la menace dès la première barrière. Pour d'autres, en fait, on voit qu'il y a une première, puis une deuxième, puis une troisième barrière qui sont passées, mais que sur la quatrième, on va être en capacité de la bloquer. Et donc, c'est vraiment avec cette vision globale de l'ensemble des systèmes que vous allez prévenir les risques associés aux attaques, à la fois sur le point d'entrée, mais aussi sur la diffusion à l'intérieur de l'établissement, mais aussi sur les organisations dégradées, si je puis dire, une fois que vos systèmes sont bloqués et la reprise de contrôle. après l'apparition d'une crise. Donc c'est sur ces ensembles d'éléments que les établissements de santé travaillent et le gouvernement a mis en place d'ailleurs un certain nombre de plans dédiés à la cybersécurité pour alerter, accompagner et puis résoudre ces enjeux-là. Et donc en fonction des typologies d'attaques, en fonction des établissements, on voit que la maturité en fonction des différentes barrières ... va évoluer justement positivement. En tout cas, c'est ce qu'on apprend justement des différentes attaques et qui est essentiel à entraîner, exactement comme on fait des exercices incendies et où finalement on sait que plus on en fait, plus on va être en capacité de réagir rapidement.

• Speaker #0

  Depuis les premières attaques qui ont fait grand bruit dans la presse, vous constatez que le nombre de barrières justement s'est multiplié. On a réussi en aussi peu de temps à multiplier le nombre de barrières ?

• Speaker #1

  Je constate que le nombre de barrières s'est multiplié. Je constate surtout que c'est devenu une préoccupation beaucoup plus centrale pour les acteurs, notamment hospitaliers, et que les organisations se sont adaptées. C'est-à-dire qu'il y a des références cybersécurité. On a identifié en cas d'attaque les personnes qu'il fallait contacter, les mesures à prendre. Et puis, il y a de la diffusion et de la sensibilisation au-delà des références cybersécurité pour que justement chaque agent... que ce soit une personne à l'accueil, une infirmière dans un service, une secrétaire dans la direction, etc., sache reconnaître et soit sensibilisée à des risques ou des anomalies qui peuvent être les prémices d'une attaque.

• Speaker #0

  Et derrière, il y a un processus de réaction ? Qu'est-ce qui se passe concrètement si je suis aide-soignant ou infirmier et je constate qu'il y a un mail de suspect ? Comment ça se passe ?

• Speaker #1

  Alors évidemment, ça dépend des organisations, mais dans tous les cas, oui, les hôpitaux... se sont adaptés. Et encore une fois, l'analogie avec un accident indésirable grave lié à des médicaments, une intrusion physique sur un site, à chaque fois il y a un algorithme de traitement et donc les hôpitaux ont mis en place justement des algorithmes de réaction qui sont là spécifiquement dédiés aux attaques numériques et qui vont pouvoir tester en faisant des exercices de simulation.

• Speaker #0

  Et on arrive au terme de cette interview, comment on peut améliorer et accélérer cette innovation technologique dans le monde de la santé ?

• Speaker #1

  Alors l'élément qui est important, et c'est vraiment ce qu'on porte aussi à Paris Santé Campus, c'est d'arriver à rassembler toutes ces expertises dont on parlait au début de notre échange, de l'expertise médicale, de l'expertise scientifique, de l'expertise numérique, de l'expertise de sécurité, et d'arriver à faire travailler justement toutes ces expertises ensemble. Concrètement, c'est des hommes, des femmes. qu'on va accompagner au quotidien. Je crois que nous partageons cette vision avec le campus cyber sur la nécessité pour résoudre ces grands enjeux d'aujourd'hui et de demain d'arriver à mieux faire travailler les acteurs ensemble, qu'ils soient publics et privés, pour accélérer l'innovation et faciliter les synergies.

• Speaker #0

  Merci beaucoup pour votre éclairage. Et ces investissements, le territoire de Paris-Ouest, la Défense le porte puisque le catalyseur santé va le jour. Comment vous, vous pouvez l'accompagner ?

• Speaker #1

  Alors, on a la chance entre le campus cyber et l'hôpital Foch d'avoir des partenariats extrêmement dynamiques avec ces acteurs-là. On travaille, nous, sur les besoins de recherche, notamment sur les réseaux de santé ou sur les sujets cybersécurité avec le campus cyber. Donc, on sera ravis de pouvoir faire des liens avec notre écosystème, que ce soit accompagner des startups, amener de l'expertise. mettre à disposition des compétences dans le lancement de ce catalyseur, dont je salue l'initiative parce qu'elle répond aux enjeux dont nous avons parlé, c'est-à-dire accompagner des acteurs à se mettre à niveau et à être toujours en pointe sur des questions stratégiques comme la cybersécurité.

• Speaker #0

  Une cybersécurité d'ailleurs qui est beaucoup abordée par le catalyseur de l'entrepreneuriat et de l'innovation qui est une émanation de Pold, c'est aussi le cas de l'hôpital Foch. qui est un pionnier dans l'innovation, qui est reconnu comme tel. Est-ce que vous pouvez nous en dire un peu plus ?

• Speaker #1

  Oui absolument. Alors il se trouve que moi je connais bien l'hôpital Foch. On a eu de nombreuses collaborations. Ça a été un des premiers centres hospitaliers à venir au sein de Paris Santé Campus. Et donc on a régulièrement des équipes, notamment de la partie recherche et innovation, qui sont présents et qui font le lien avec... les acteurs du soin, avec les acteurs de l'innovation, et notamment l'hôpital Foch a une stratégie de développement et d'accompagnement des startups qui est extrêmement intéressante. C'est très important aujourd'hui qu'on arrive à acculturer le monde du soin, le monde de la recherche et le monde de l'entrepreneuriat parce que c'est là que résident vraiment les clés de l'amélioration du fonctionnement de nos systèmes hospitaliers, de nos systèmes scientifiques et puis de nos systèmes de sécurité également.

• Speaker #0

  Donc si je comprends bien... L'objectif, c'est de créer des synergies grâce à vous, entre acteurs publics, institutionnels et privés, pour créer des expérimentations qui soient pionnières pour ensuite les diffuser. C'est bien ça le but après, c'est de diffuser. Comment on fait pour diffuser ?

• Speaker #1

  Exactement. Alors ce qui est intéressant, c'est que vous avez mentionné le territoire Paris-Ouest-La Défense. La France comporte de très nombreux territoires avec des acteurs qui sont assez variés. Ma conviction, c'est que l'innovation, elle naît de la réunion de ces acteurs. Et donc, pour certains territoires, ça va être effectivement l'hôpital Foch, le campus cyber. Mais pour d'autres, ça va être d'autres typologies d'acteurs, des grands industriels, des centres de recherche. Et donc il faut arriver à diffuser cette idée de synergie et d'écosystème et puis faire profiter justement de la diversité et de la richesse de chacun de ces territoires pour faire émerger l'innovation. En tout cas c'est ce à quoi nous sommes... attelés dans le lien qu'on fait avec les écosystèmes d'innovation territoriaux.

• Speaker #0

  Et dernière question, comment on fait en sorte de faire coopérer des acteurs qui se trouvent à plusieurs centaines de kilomètres ? Est-ce que physiquement, ces acteurs se déplacent au sein de Paris Santé Campus ?

• Speaker #1

  Alors la réalité, c'est qu'il y a en France encore beaucoup de choses qui se passent à Paris, ou à proximité en tout cas, et donc une partie des startups qui sont présentes au sein de Paris Santé Campus sont des startups qui sont localisées en province, mais qui viennent régulièrement à Paris. Avoir un lieu où il y a tous les acteurs qu'elles vont pouvoir rencontrer, qui est dynamique et qui travaille dans leur domaine, c'est extrêmement important pour elles. Et donc, on les accueille évidemment avec plaisir et on voit cet écosystème qui grandit. Il y a beaucoup d'outils de collaboration qu'on peut mettre en place pour arriver à faire travailler ensemble les écosystèmes d'innovation sur l'ensemble du territoire. Le premier élément important, c'est évidemment la volonté et la conviction des acteurs. Et donc, c'est ce qu'on essaye de pousser. en montrant combien ces synergies et ces écosystèmes sont riches pour arriver à trouver des solutions plus rapidement et plus efficacement.

• Speaker #0

  Et si on est une start-up dans le domaine de la santé ou qui pivote dans le domaine de la santé, comment on fait pour rejoindre l'initiative Paris Santé Campus ? Comment on fait pour rejoindre ce mouvement ?

• Speaker #1

  On a un site qui est très ouvert, évidemment. On a le plaisir d'accueillir beaucoup d'événements, donc c'est très facile. de venir sur différents événements à Paris Santé Campus. Pour ensuite être installé à Paris Santé Campus, on a un comité de sélection. Et donc, je vous invite à ce moment-là à candidater sur notre site web. On a 4 à 5 comités de sélection par an et contactez nos équipes qui pourront vous faire un point sur les offres, les acteurs et puis les possibilités de collaboration.

• Speaker #0

  Merci beaucoup pour tous ces détails. Merci également pour votre éclairage sur la cybersécurité et le monde de la santé qu'il reste une... Une nébuleuse en fait pour certains ou qui n'est pas forcément claire.

• Speaker #1

  Merci beaucoup.

• Speaker #0

  A bientôt. Si vous êtes une collectivité d'Ile-de-France, à la tête d'une entreprise ou un acteur de l'économie sociale et solidaire, rendez-vous sur notre site sybiah.eu. En attendant, n'hésitez pas à vous abonner à ce podcast sur votre plateforme d'écoute préférée. À commenter, noter ce podcast. Vos retours nous sont précieux. Également, nous suivre sur LinkedIn à Cybia, C-Y-B-I-A-H. À très vite.